Das Ende der Verpflichtung auf das Datengeheimnis?

Zum 25.05.2018 lösen die Datenschutzgrundverordnung (DS-GVO) und das neue Bundesdatenschutzgesetz (BDSG 2018) die bisherigen datenschutzrechtlichen Regelungen des Bundesdatenschutzgesetzes ( BDSG alt) ab. Hierdurch kommt es zu einer bisher noch nicht sonderlich beachteten Änderung bei der Neubegründung von Arbeitsverhältnissen. So fehlt es in den neuen gesetzlichen Vorschriften an einer dem bisherigen § 5 BDSG alt entsprechenden Regelung zum Datengeheimnis. Wir klären, was dies für Arbeitgeber bedeutet.

Verpflichtung auf das Datengeheimnis

Bisher war jeder privatrechtlich organisierte Arbeitgeber dazu verpflichtet, seine Arbeitnehmer, die im Rahmen ihrer Tätigkeit mit personenbezogenen Daten in Kontakt kommen, bei Aufnahme ihrer Tätigkeit auf das so genannte Datengeheimnis zu verpflichten. Konkret ging es dabei darum, diesen Mitarbeitern deutlich zu machen, dass die unbefugte Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten untersagt ist und welche möglichen Konsequenzen bei einem Verstoß drohen. Vielfach haben Arbeitgeber diese Verpflichtung durch ein standardisiertes Formular erfüllt, das sie - oftmals auch als Anlage zum Arbeitsvertrag - vom Arbeitnehmer unterzeichnen ließen.

Die ab dem 25.05.2018 allein noch maßgeblichen Regelungen der DS-GVO sowie des BDSG 2018 sehen dagegen eine solche Pflicht des Arbeitgebers, seine bei der Datenverarbeitung beschäftigten Arbeitnehmer auf das Datengeheimnis zu verpflichten, nicht mehr vor. Damit entfällt also die Pflicht des Arbeitgebers, seine Mitarbeiter entsprechend zu verpflichten. Der Arbeitgeber könnte also das bisher verwandte Formular getrost vernichten.

Ist es so einfach?

Auch wenn es zutrifft, dass eine Verpflichtung auf das Datengeheimnis nunmehr nicht mehr vorgenommen werden muss, bietet sich die Beibehaltung dieses "Rituals" gleichwohl auch weiterhin an. Denn auch die neuen gesetzlichen Regelungen verbieten es den Arbeitnehmern, im Rahmen der Datenverarbeitung personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen. So dürfen die dem Arbeitgeber "unterstellten Personen", zu Deutsch also seine Arbeitnehmer, die personenbezogenen Daten, zu denen sie Zugang haben, nur auf Weisung des Arbeitgebers, der wiederum solche Daten nur gesetzeskonform behandeln darf, verarbeiten (Art. 29 DS-GVO). Dabei muss der Arbeitgeber auch sicherstellen, dass seine Arbeitnehmer die personenbezogenen Daten tatsächlich nur nach seiner Anweisung verarbeiten (Art. 32 Abs. 4 DS-GVO). Auch insgesamt muss der Arbeitgeber "geeignete technische und organisatorische Maßnahmen" treffen, um nachweisen zu können, dass die Verarbeitung von Daten entsprechend den gesetzlichen Regelungen erfolgt, wobei eine Überprüfung dessen explizit im Gesetz vorgesehen ist (Art. 24 Abs. 1 DS-GVO).

Diese gesetzlichen Pflichten des Arbeitgebers machen deutlich, dass er auch weiterhin seine Arbeitnehmer, sofern sie im Rahmen ihrer Tätigkeit mit personenbezogenen Daten zu tun haben, mit dem Datengeheimnis vertraut machen muss. Neben den auf der Hand liegenden Schulungen (analog oder digital), kommt hierfür auch eine der bisherigen Verpflichtung auf das Datengeheimnis entsprechende formularmäßige Erläuterung der datenschutzrechtlichen Grundsätze und Verpflichtung der Arbeitnehmer in Betracht. Der Vorteil eines solchen Formulars liegt naturgemäß auch in der für den Arbeitgeber günstigen Beweissituation - zumindest dann, wenn er den Arbeitnehmer den Erhalt und die inhaltliche Kenntnisnahme durch Gegenzeichnung bestätigen lässt.

Fazit

Die Verpflichtung auf das Datengeheimnis ist also - anders als auf den ersten Blick zu vermuten - keinesfalls ab dem 25.05.2018 "veraltet". Vielmehr empfiehlt es sich, eine (inhaltlich allerdings angepasste) Version des bisherigen Formulars auch weiterhin zu verwenden, um insbesondere auch den Nachweis der Erfüllung der dem Arbeitgeber obliegenden datenschutzrechtlichen Verpflichtungen zu erleichtern.